GHSA-M943-M63M-W62W
Nodemailer: A ";" inside a quoted string or comment ends an address group early in addressparser, turning display text into a recipient
CVSS 3.1Medium
N/A/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ПАТЧ ДОСТУПЕН: ВЕРСИЯ 10.1.4
Обновите Nodemailer до версии 10.1.4 или выше. Уязвимы версии от 3.0.0 до 10.1.3 включительно.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
Парсер addressparser в Nodemailer завершает группу адресов на символе `;`, даже если он экранирован кавычками или находится внутри комментария.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
Модуль addressparser прерывает разбор группы RFC 5322 на первой точке с запятой без учета контекста кавычек или комментариев. Последующий текст ошибочно интерпретируется как список прямых получателей верхнего уровня.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Спуфинг и непреднамеренная отправка писем. Текст отображаемого имени, подконтрольный атакующему, преобразуется в реальный адрес назначения вопреки спецификации RFC 5322.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
——
>= 3.0.0➔Fix: 10.1.4
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (4)
- github.comhttps://github.com/nodemailer/nodemailer/security/advisories/GHSA-m943-m63m-w62w
- github.comhttps://github.com/nodemailer/nodemailer/commit/1cd57d2b8c49dff048c21cdbafdb54439a7f07e2
- github.comhttps://github.com/nodemailer/nodemailer
- github.comhttps://github.com/nodemailer/nodemailer/releases/tag/v10.1.4
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости GHSA-M943-M63M-W62W: Nodemailer: A ";" inside a quoted string or comment ends an address group early in addressparser, turning display text into a recipient. URL: https://cve.futuretools.ru/cve/GHSA-M943-M63M-W62W
BibTeX формат (LaTeX)
@misc{cve_futuretools_ghsa_m943_m63m_w62w,
title = {{GHSA-M943-M63M-W62W: Nodemailer: A ";" inside a quoted string or comment ends an address group early in addressparser, turning display text into a recipient}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/GHSA-M943-M63M-W62W}},
note = {Оперативный инженерный анализ киберугроз}
}